CVE-2026-111357 et CVE-2026-118527 : Ivanti Zero-Days exploités dans la nature

Résumé

L’acteur de menace UTA0576 exploite une chaîne de vulnérabilités dans les appareils Ivanti Connect Secure (ICS) pour obtenir un accès root sans authentification. La chaîne d’attaque implique un contournement d’authentification (CVE-2026-104935), une élévation de privilèges (CVE-2026-111357) et un téléchargement de fichier à distance (CVE-2026-118527). Ces vulnérabilités sont activement exploitées dans la nature contre les solutions VPN d’entreprise.

Enquête

L’enquête de Volexity a identifié l’utilisation par UTA0576 d’une chaîne d’exploitation pour obtenir un accès root sur les appareils Ivanti exécutant la version 22.8R2.4. L’enquête a révélé des preuves de vol d’identifiants et de requêtes Active Directory ciblant les mots de passe Windows LAPS et les clés de récupération BitLocker. Les enquêteurs ont également noté que l’activité était conçue pour échapper à l’Outil de vérification d’intégrité d’Ivanti.

Atténuation

Ivanti a publié des correctifs pour les vulnérabilités identifiées ; les utilisateurs doivent passer à la version 22.8R2.6 ou ultérieure dès que possible. Pour ceux qui ne peuvent pas migrer immédiatement, l’application de la mise à jour 22.8R2.6 est le chemin recommandé. Les utilisateurs sont conseillés de passer de la branche 22.8.X à une version supportée.

Réponse

En cas de suspicion de compromis, les organisations doivent suivre les procédures de récupération formelles d’Ivanti et faire tourner tous les identifiants potentiellement exposés. Il est crucial de préserver la mémoire et les journaux avant de redémarrer ou de réinitialiser l’appareil. Les organisations doivent également rechercher des preuves de suppression sélective de journaux dans les journaux d’audit.

Exécution de la simulation

• Narration de l’attaque & Commandes : Après avoir exploité avec succès une vulnérabilité d’Ivanti Connect Secure pour obtenir un accès initial, l’adversaire vise à établir un canal C2 persistant. Pour éviter la détection par des signatures basées sur le nom de fichier, l’attaquant utilise un flux d’exécution détourné (T1574.001) pour exécuter une charge utile malveillante. La charge utile est configurée pour « appeler à la maison » l’infrastructure UTA0576 à l’IP 108.165.147.64 pour recevoir des instructions supplémentaires et exfiltrer des identifiants volés. Cette action déclenchera la règle Sigma en générant un événement de connexion réseau vers l’IP signalée.

• Script de test de régression :

  # Simulation de la communication C2 du UTA0576
  # Ce script imite un processus compromis se connectant à l'IP malveillante
  
  $MaliciousIP = "108.165.147.64"
  $Port = 443
  
  Write-Host "[+] Début de la simulation : tentative de connexion à $MaliciousIP sur le port $Port" -ForegroundColor Cyan
  
  try {
      # Utilisez une méthode .NET standard pour initier une connexion TCP, 
      # simulant un processus effectuant un appel réseau.
      $TcpClient = New-Object System.Net.Sockets.TcpClient
      $Connect = $TcpClient.BeginConnect($MaliciousIP, $Port, $null, $null)
  
      # Attendez une courte durée pour simuler la tentative
      $Wait = $Connect.AsyncWaitHandle.WaitOne(2000, $false)
  
      if ($Wait) {
          Write-Host "[!] Connexion réussie/essayée : la télémétrie devrait maintenant être visible dans le SIEM." -ForegroundColor Green
      } else {
          Write-Host "[?] Délai de connexion : cela est attendu si l'IP n'est pas accessible, mais la télémétrie devrait tout de même être générée." -ForegroundColor Yellow
      }
      $TcpClient.Close()
  }
  catch {
      Write-Host "[!] Erreur pendant la simulation : $($_.Exception.Message)" -ForegroundColor Red
  }
  
  Write-Host "[+] Simulation complète." -ForegroundColor Cyan

• Commandes de nettoyage :

  # Aucun artefact persistant n'est créé par cette simulation uniquement réseau.
  # Assurez-vous simplement que tous les processus de test sont terminés.
  Get-Process | Where-Object { $_.ProcessName -like "*powershell*" } | Stop-Process -Force -ErrorAction SilentlyContinue